[기획] 세계 웹사이트 70% 쓰는 PHP 구멍… ‘인터넷 아마겟돈’ 공포

서버 장악·메모리 비밀번호 위험
속도·범위로 ‘공격 불가’ 타파해
AI, 오랜 SW 안전성 믿음 흔들어

세계 각국 웹사이트의 가동을 멈춰 세운 ‘PHP투셸’(PHP2Shell) 사태는 인공지능(AI)이 오래된 소프트웨어의 안전성에 대한 믿음을 흔들 수 있음을 보여줬다. 복잡해서 실제 공격에 쓰기 어렵다고 여겼던 결함을 AI가 실행 가능한 공격으로 바꿔놓은 것이다. 보안 연구진보다 공격자가 먼저 이 능력을 확보했다면, 방어책이 없는 상태에서 대규모 침해가 벌어질 수 있었다.

21일(현지시간) 미 정보기술(IT) 매체 테크크런치는 이번 사태를 ‘PHP 아마겟돈’이라고 표현했다. 위험이 큰 이유는 웹사이트들이 공유하는 기반에 구멍이 뚫렸기 때문이다. PHP는 사용자의 요청을 받아 서버에서 처리하는 언어다. 서버 측 언어가 확인되는 세계 웹사이트의 약 70%가 이를 쓴다.

각기 다른 회사가 만든 홈페이지라도 같은 PHP 엔진을 사용하면 비슷한 위험에 노출된다. 팔로알토네트웍스의 위협 연구조직 유닛42는 인터넷에 노출된 PHP 실행 환경 중 잠재적으로 취약한 인스턴스를 2260만 개 이상으로 추정했다.

공격자는 서버를 장악하는 데 성공하지 않아도 정보를 훔칠 수 있다. 구글클라우드의 보안 자회사 위즈는 별도의 공격 실험에서 PHP 프로세스 메모리에 있던 비밀번호와 인증 토큰, 응용프로그램인터페이스(API) 키를 읽어냈다. 화면이 정상적으로 표시된다고 해서 안전한 것은 아니라는 뜻이다. 탈취한 인증정보가 연결된 데이터베이스 등 다른 시스템에 접근하는 데 악용될 위험도 있다.

PHP2셸 보안취약점을 통한 원격 메모리 정보 유출 개요. 위즈 블로그 발췌·번역

PHP2셸 보안취약점을 통한 원격 코드 실행 개요. 위즈 블로그 발췌·번역

이번 결함은 인간이 전혀 몰랐던 문제를 AI가 처음 알아냈다고만은 볼 수 없다. PHP재단에 따르면 2024년 외부 보안 감사에서 지적된 문제를 수정하던 개발자가 메모리 부족 오류와 관련된 결함의 단서를 발견했다. 그러나 합의를 중시하는 의사결정 방식과 핵심 개발 인력 부족 등이 겹쳐 수정 작업이 수개월간 표류했다. 재단은 이를 “구조적 실패”라고 인정했다.

AI가 바꾼 것은 결함을 실제 공격에 이용하는 데 드는 시간과 비용이다. 메모리 결함은 여러 오류를 연결하고 서버마다 다른 버전·설정에 맞춰 공격 방식을 조정해야 한다. 위즈는 AI와 시험·디버깅 도구를 결합해, 과거 정상급 연구팀이 수개월 걸렸을 작업을 연구자 한 명이 일주일 만에 끝냈다고 설명했다. 사람이 공격 방향을 잡고 검증하면서 AI가 반복 분석과 수정의 부담을 줄인 것이다. 오래된 프로그램이 오랫동안 별 탈 없이 작동했다는 사실만으로 앞으로도 안전하다고 보기 어려워졌다.

방어자가 확보할 수 있는 시간도 짧아졌다. 보안업계는 통상 취약점을 발견하면 개발진에 먼저 알리고 수정할 시간을 준 뒤 공개한다. 하지만 패치가 공개되면 공격자도 바뀐 코드를 분석해 약점을 역추적할 수 있다.

아마존웹서비스(AWS)는 AI 덕분에 이런 작업의 비용이 낮아져 더 많은 공격자가 수시간, 심지어 수분 안에 움직일 수 있다고 지적했다.

공개를 늦춘다고 공격까지 늦춰지는 것도 아니다. AWS가 포착한 17일 공격 시도는 공식 공개보다 나흘 빨랐다. 공격자가 정보를 어떻게 입수했는지, 운영 중인 시스템에도 침투했을지는 확인되지 않았고 실제로 연구진보다 먼저 발견했는지도 미지수다. 하지만 보안업체가 먼저 찾았으니 공개 전까지는 안전했다고 단정할 수는 없다는 것이다.

국내에는 구버전 사용이라는 부담도 있다. 보안업체 맬러리가 21일 쇼단 검색 자료를 재집계한 결과, 버전 정보가 드러난 인터넷상의 PHP 서비스 중 8.1 이하 구버전 비중은 세계 73.5%, 한국 89%였다. 일부 구버전에는 별도 수정이 제공되지만, 운영체제 배포판이나 지원업체마다 적용 여부를 확인해야 한다.

패치 배포와 현장 적용 사이의 간격도 문제다. 기업은 어디에 어떤 PHP가 설치됐는지 파악하고 기존 서비스와의 호환성을 확인해야 한다. 웹방화벽의 공격 차단은 시간을 벌어주는 임시 대책이다. 국내 정보보호업체들도 분주하다. 티오리는 대응 지침을, 스틸리언은 무료 점검 서비스를 내놨고 에버스핀은 공격 차단 규칙을 적용했다고 밝혔다.

염흥열 순천향대 정보보호학과 명예교수는 “취약점 확인부터 패치 적용을 위한 의사결정까지 신속하게 추진할 체계를 갖추고, 역량이 부족한 중소기업에는 정부가 지원을 강화해야 한다”고 말했다. 그러면서 “AI 등장으로 공격과 방어의 비대칭성이 나타나고 있는 상황”이라며 “인적 투자는 물론, 대응 체계 전반의 혁신이 필요할 수 있다”고 짚었다.

팽동현 기자 dhp@dt.co.kr